---
title: "Les plus gros hackings de banques depuis 30 ans : de Citibank à Binance et au Crédit Mutuel Arkéa"
description: "Citibank 1994, Bangladesh Bank, Carbanak, Bybit, Binance, Crédit Mutuel Arkéa : trente ans de casses numériques, comment ils ont réussi, et ce qu’une PME…"
url: https://krakenshield.eu/fr/knowledge/blog/plus-gros-hackings-banques-30-ans/
lang: fr
updated: 2026-11-09
publisher: KrakenShield (KRAKEN HOLDING SAS)
overview: https://krakenshield.eu/llms.txt
---
# Les plus gros hackings de banques depuis 30 ans : de Citibank à Binance et au Crédit Mutuel Arkéa
> Citibank 1994, Bangladesh Bank, Carbanak, Bybit, Binance, Crédit Mutuel Arkéa : trente ans de casses numériques, comment ils ont réussi, et ce qu’une PME…

Actualité Publié le 9 novembre 2026

Un modem à Saint-Pétersbourg en 1994, une imprimante en panne à Dacca en 2016, un portefeuille vidé en vingt minutes en 2026 : en trente ans, le casse de banque est devenu numérique. Voici les plus gros, les plus audacieux, et ce qu’ils ont en commun avec les attaques qui visent votre entreprise.

Par **Nestor** 15 min de lecture

Le 4 novembre 2026, le Crédit Mutuel Arkéa annonce qu’une attaque « sophistiquée et venue de l’extérieur » a détourné de l’ordre de 100 millions d’euros depuis son compte propre. Six jours plus tôt, Binance, la première plateforme de cryptomonnaies du monde, perdait environ 6,3 milliards de dollars en une vingtaine de minutes. Deux affaires que trente ans séparent du premier casse de banque en ligne, celui de Citibank en 1994, et qui racontent pourtant la même histoire : on n’attaque plus les coffres, on attaque les accès.

6,3 Md$

*dérobés à Binance le 29 octobre 2026, le plus gros vol de l’histoire, attribué par le FBI à la Corée du Nord*

Source : FBI, 31 octobre 2026

Cet article raconte les casses les plus gros et les plus audacieux de ces trente dernières années, période par période, puis en tire ce qui concerne toute entreprise, banque ou non. Pour comprendre qui sont les attaquants et ce qui les motive, le chapitre [Qui attaque, et pourquoi ?](https://krakenshield.eu/fr/knowledge/a-to-z/02-who-attacks-and-why/) de « Cyber de A à Z » pose le décor.

## Ce que nous comptons, et ce que nous laissons de côté

Nous parlons ici de **hacking** : une intrusion dans un système informatique, celui d’une banque, de ses clients ou de ses prestataires. Les tunnels creusés jusqu’aux coffres, les traders qui cachent leurs positions et les fraudes purement téléphoniques restent dehors. Nous incluons en revanche les plateformes de cryptomonnaies, parce qu’elles tiennent aujourd’hui le rôle que les banques tenaient hier pour les voleurs : c’est là que l’argent se trouve.

Trois précautions de lecture. Les montants sont ceux de l’époque, dans la devise d’origine. « Tenté », « volé » et « récupéré » sont trois chiffres différents, et la presse les confond souvent. Enfin, l’attribution d’une attaque à un groupe ou à un État reste une appréciation : nous indiquons qui l’affirme.

## Trente ans en un tableau

| Année | Cible | Montant | Faille exploitée | Auteur présumé |
| --- | --- | --- | --- | --- |
| 1994 | Citibank (États-Unis) | 10,7 M$ virés, 400 000 $ perdus | mots de passe de clients | Vladimir Levin, Russie |
| 2004 | Sumitomo Mitsui, Londres | 229 M£ tentés, 0 volé | enregistreurs de frappe, complice interne | gang britannico-belge |
| 2007 | Nordea (Suède) | 8 M de couronnes | cheval de Troie chez les clients | réseau russophone |
| 2008 | RBS WorldPay | 9 M$ en 12 heures | 44 cartes clonées, 2 100 distributeurs | pirates estoniens et russes |
| 2010 | PME américaines (Zeus) | 70 M$ | cheval de Troie bancaire, 3 500 mules | réseau ukrainien |
| 2013 | Bank of Muscat, RAKBANK | 45 M$ en 10 heures | plafonds supprimés chez un prestataire | réseau international |
| 2013-2015 | une centaine de banques (Carbanak) | jusqu’à 1 Md$ (estimation) | hameçonnage des employés, patience | gang d’Europe de l’Est |
| 2014 | JPMorgan Chase | 83 millions de comptes (données) | serveur sans double authentification | Gery Shalon et associés |
| 2016 | Bangladesh Bank | 951 M$ tentés, 81 M$ perdus | ordres SWIFT depuis la banque | Corée du Nord (DoJ) |
| 2016 | Tesco Bank (Royaume-Uni) | 2,26 M£ en 48 heures | numéros de carte devinés | non identifié |
| 2018 | Cosmos Bank (Inde) | 13,5 M$ en quelques heures | 12 000 retraits dans 28 pays | Corée du Nord (ONU) |
| 2019 | Capital One | 106 millions de personnes (données) | pare-feu applicatif mal configuré | Paige Thompson |
| 2019 | Desjardins (Québec) | 9,7 millions de personnes (données) | employé interne, 26 mois | un salarié |
| 2023 | ICBC Financial Services | règlement de bons du Trésor bloqué | rançongiciel LockBit | affilié LockBit |
| 2025 | C&M Software (Brésil) | 813 M R$ | identifiants vendus par un employé | réseau brésilien |
| 2025 | Bybit | 1,5 Md$ | interface de signature altérée | Corée du Nord (FBI) |
| 2026 | Binance | 6,3 Md$ en 20 minutes | ingénierie sociale, portefeuille chaud | Corée du Nord (FBI) |
| 2026 | Crédit Mutuel Arkéa | de l’ordre de 100 M€ | plateforme d’un prestataire | enquête en cours |

## 1994-2007 : les pionniers

### Citibank, 1994 : le premier casse en ligne

L’été 1994, les équipes de Citibank à New York voient partir des virements que personne n’a ordonnés. Une quarantaine d’opérations, de 26 800 à 304 000 dollars, pour un total d’environ 10,7 millions, quittent le système de gestion de trésorerie que les grandes entreprises clientes utilisent pour piloter leurs comptes. Les ordres viennent de Saint-Pétersbourg, par liaison télématique, avec les identifiants de vrais clients d’Argentine, des Bahamas et d’Indonésie.

Citibank laisse faire pendant quelques semaines, en accord avec le FBI, pour suivre l’argent : les complices qui le retirent sont arrêtés à San Francisco, aux Pays-Bas et en Israël. La banque affirmera avoir tout récupéré sauf environ 400 000 dollars. Vladimir Levin, un informaticien russe de vingt-sept ans, est arrêté lors d’une escale à Londres en mars 1995, extradé en 1997 et condamné à trois ans de prison en 1998. Comment il a obtenu les mots de passe n’a jamais été établi.

**Faille exploitée :** le système de gestion de trésorerie acceptait un simple identifiant et mot de passe de client, sans second facteur ni contrôle de l’origine de la connexion. **Auteur présumé :** Vladimir Levin, informaticien russe condamné aux États-Unis en 1998, avec un réseau de complices chargés des retraits.

> **Nestor Ancien hacker, passé en défense:** Levin n’a rien « cassé ». Il s’est connecté comme un client, avec les codes d’un client, et le système lui a obéi. Trente ans plus tard, c’est encore la méthode préférée : pourquoi forcer une porte quand on peut acheter la clé ?

### Sumitomo Mitsui, Londres, 2004 : 229 millions de livres et un formulaire mal rempli

En septembre 2004, un superviseur de la sécurité de la succursale londonienne de Sumitomo Mitsui fait entrer deux pirates belges dans les bureaux, la nuit, en coupant les caméras. Ils installent sur les postes des enregistreurs de frappe, un logiciel de surveillance parentale du commerce, choisi parce que les antivirus ne s’en méfient pas. En octobre, munis des identifiants captés, ils tentent de virer 229 millions de livres vers des comptes en Espagne, à Dubaï, à Hong Kong et à Singapour.

Rien ne part : les ordres SWIFT comportent des erreurs dans un champ et sont rejetés. Un lundi, les employés trouvent des câbles débranchés et des postes déplacés, et la banque prévient la police. En mars 2009, le cerveau du réseau de comptes, Hugh Rodley, prend huit ans ; l’agent de sécurité corrompu, quatre ans et quatre mois. La tentative reste l’une des plus grosses jamais déjouées.

**Faille exploitée :** l’accès physique aux postes de travail, ouvert par un agent de sécurité complice, et des enregistreurs de frappe que l’antivirus ne signalait pas. **Auteur présumé :** Hugh Rodley, l’agent Kevin O’Donoghue et deux pirates belges, condamnés à Londres en 2009.

### Nordea, 2007 : l’attaque se déplace chez le client

Entre septembre 2006 et janvier 2007, environ 250 clients de la banque suédoise Nordea reçoivent de faux e-mails de leur banque les invitant à installer un « outil anti-spam ». C’est un [cheval de Troie](https://krakenshield.eu/fr/knowledge/glossary/trojan/), une variante de Haxdoor, qui s’active à la connexion et affiche une fausse erreur pour leur faire ressaisir identifiant et codes à usage unique. Près de 8 millions de couronnes partent vers des mules, puis vers Moscou et Saint-Pétersbourg. Nordea rembourse tous ses clients. La leçon tient en une phrase : quand la banque est trop bien défendue, on attaque ses clients.

**Faille exploitée :** des codes à usage unique saisis par le client sur un ordinateur infecté, qui les transmettait aux voleurs avant la banque. **Auteur présumé :** un réseau russophone jamais identifié ; seuls des passeurs de fonds ont été jugés en Suède.

## 2008-2013 : les distributeurs crachent des billets

### RBS WorldPay, 2008 : 2 100 distributeurs en douze heures

Le 8 novembre 2008, en moins de douze heures, des équipes de « retireurs » vident plus de 2 100 distributeurs dans 280 villes, des États-Unis au Japon, pour plus de 9 millions de dollars. Ils n’ont que 44 cartes de paie prépayées, clonées. Les pirates, entrés dans le réseau du prestataire de paiement RBS WorldPay, avaient déchiffré les codes PIN et relevé les plafonds de retrait de ces cartes. L’Estonien Sergei Tšurikov, qui reliait les pirates aux équipes de terrain, sera condamné à onze ans de prison aux États-Unis en 2014 ; le pirate russe qui avait trouvé la faille, jugé en Russie, écope d’une peine avec sursis.

**Faille exploitée :** une vulnérabilité du réseau du prestataire de paiement, un chiffrement des codes PIN cassable et des plafonds de retrait modifiables de l’intérieur. **Auteur présumé :** Sergei Tšurikov (Estonie), Viktor Pleshchuk (Russie) et Oleg Covelin (Moldavie), inculpés à Atlanta en 2009.

### Heartland, 2008 : 130 millions de cartes par une injection SQL

Heartland Payment Systems n’est pas une banque mais un prestataire qui traite les paiements par carte de centaines de milliers de commerçants. Fin 2007, Albert Gonzalez et deux complices russes y entrent par une [injection SQL](https://krakenshield.eu/fr/knowledge/glossary/sql-injection/) dans une application web, puis installent un logiciel qui copie les données de cartes en transit. Le ministère de la Justice américain évaluera le butin à 130 millions de numéros de cartes. Gonzalez, ancien informateur des services secrets américains, est condamné en 2010 à vingt ans de prison.

**Faille exploitée :** une injection SQL dans une application web, puis un réseau interne où les données de cartes circulaient en clair. **Auteur présumé :** Albert Gonzalez (États-Unis), condamné en 2010, et deux complices russes, dont Vladimir Drinkman, condamné en 2018.

### Zeus, 2010 : 70 millions de dollars pris aux PME

Le casse le plus instructif pour une PME n’a pas de nom de banque. Entre 2009 et 2010, le cheval de Troie bancaire Zeus, diffusé par [hameçonnage](https://krakenshield.eu/fr/knowledge/glossary/phishing/), s’installe sur les ordinateurs de comptables de petites entreprises, de mairies et de paroisses américaines. Les pirates se connectent à leur place et enchaînent les virements, souvent sous 10 000 dollars pour ne pas éveiller l’attention, vers 3 500 comptes de mules recrutés parmi des étudiants étrangers. Bilan de l’enquête du FBI, baptisée Trident Breach : 70 millions de dollars volés sur 220 tentés. L’un des organisateurs, Vyacheslav Penchukov, ne sera arrêté qu’en 2022, à Genève, et condamné à neuf ans en 2024.

**Faille exploitée :** des postes de comptables infectés par e-mail, et une banque en ligne incapable de distinguer le client de celui qui tapait à sa place. **Auteur présumé :** un réseau ukrainien et russe, dont Vyacheslav Penchukov, avec des mules recrutées aux États-Unis et au Royaume-Uni.

### « Unlimited Operations », 2013 : 45 millions sans plafond

Le 19 février 2013 à 15 heures, des retraits commencent dans 24 pays. Quand ils s’arrêtent, dix heures plus tard, 36 000 opérations ont sorti 40 millions de dollars des distributeurs, sur seulement douze cartes prépayées de la Bank of Muscat, à Oman. Deux mois plus tôt, 5 millions avaient été pris de la même façon à la RAKBANK des Émirats. Les pirates n’avaient pas touché aux banques : ils étaient entrés chez les prestataires indiens et américains qui géraient leurs cartes prépayées, y avaient gonflé les soldes et supprimé les plafonds, puis distribué numéros et codes PIN à des cellules de retireurs. La cellule de New York, huit personnes, est inculpée en mai 2013 ; son chef présumé est assassiné en République dominicaine quelques semaines plus tôt.

**Faille exploitée :** les systèmes de deux prestataires de cartes prépayées, où soldes et plafonds pouvaient être modifiés sans que la banque le voie. **Auteur présumé :** un réseau international jamais nommé pour la partie informatique ; la cellule de retireurs de New York a été inculpée en 2013.

## 2013-2015 : Carbanak, la banque elle-même comme cible

Jusque-là, on volait les clients ou les prestataires. En février 2015, Kaspersky, avec Interpol et Europol, décrit une campagne d’une autre nature : **Carbanak** . Depuis 2013, un gang multinational envoie à des employés de banques des e-mails piégés. Une fois un poste infecté, les pirates progressent jusqu’aux machines des administrateurs (c’est le [mouvement latéral](https://krakenshield.eu/fr/knowledge/glossary/lateral-movement/)), puis attendent. Pendant deux à quatre mois, ils enregistrent les écrans et les frappes du personnel pour apprendre les procédures internes et imiter les employés.

Quand ils savent faire, ils se servent de trois manières : des virements vers leurs comptes depuis les outils de la banque ; des distributeurs à qui l’on ordonne de cracher des billets à une heure dite, devant un complice ; et le gonflement de soldes, par exemple un compte à 1 000 dollars porté à 10 000, les 9 000 de différence étant virés avant que le client ne remarque quoi que ce soit. De 2,5 à 10 millions de dollars par établissement, jusqu’à une centaine d’établissements dans une trentaine de pays, et un total estimé par les enquêteurs à un milliard de dollars, un chiffre jamais audité et contesté par d’autres chercheurs. Le chef présumé est arrêté à Alicante en mars 2018.

**Faille exploitée :** des employés qui ouvraient des pièces jointes piégées, et des réseaux internes où l’on passait d’un poste aux machines des administrateurs sans déclencher d’alerte. **Auteur présumé :** un gang de Russie, d’Ukraine et d’Europe selon Kaspersky ; chef présumé « Denis K. », arrêté en Espagne en 2018 selon Europol.

> **Nestor Ancien hacker, passé en défense:** Carbanak, c’est le casse de patience. Ils ne cherchaient pas la faille technique, ils apprenaient le métier des employés en les regardant travailler, si bien que le jour du vol chaque geste ressemblait à une opération normale. C’est pour ça que les constats d’un test d’intrusion sur le facteur humain comptent autant que ceux sur les serveurs.

## 2015-2019 : la Corée du Nord s’invite sur SWIFT

### Les premières alertes

SWIFT n’est pas un coffre : c’est la messagerie par laquelle 11 000 banques s’envoient des ordres de paiement. Ses messages sont réputés sûrs parce qu’ils viennent des banques elles-mêmes. C’est précisément ce que des attaquants vont exploiter : entrer dans une banque, et envoyer des ordres en son nom. En janvier 2015, la Banco del Austro, en Équateur, perd ainsi environ 12 millions de dollars, une affaire qui ne sera connue qu’en 2016. Fin 2015, la vietnamienne TPBank bloque de justesse plus d’un million d’euros.

**Faille exploitée :** des identifiants SWIFT obtenus dans la banque (Équateur) et un prestataire tiers de connexion à SWIFT (Vietnam). **Auteur présumé :** non établi officiellement ; les chercheurs de BAE Systems et Symantec ont relevé des similitudes avec l’affaire du Bangladesh.

### Bangladesh Bank, février 2016 : le casse du siècle

Le jeudi 4 février 2016, en soirée, 35 ordres de virement partent du compte que la banque centrale du Bangladesh détient à la Réserve fédérale de New York. Total demandé : environ 951 millions de dollars. Les attaquants sont dans le réseau de la banque depuis des mois, par un hameçonnage ciblé selon la justice américaine ; un logiciel malveillant altère les enregistrements du terminal SWIFT pour masquer les ordres, et l’imprimante qui sort normalement les confirmations tombe en panne cette nuit-là. Le lendemain est le début du week-end à Dacca ; quand la banque comprend, New York est fermé.

Trente ordres sont retenus par la Réserve fédérale, qui s’étonne de virements vers des particuliers. Cinq passent, pour 101 millions de dollars. Les 20 millions destinés à une « Shalika Foundation » au Sri Lanka sont récupérés : l’ordre portait « fandation », et la Deutsche Bank, intermédiaire, a posé la question. Les 81 millions restants arrivent sur quatre comptes de la banque RCBC à Manille, ouverts avec de fausses identités, et sont retirés puis blanchis dans des casinos avant que la demande de blocage n’arrive, un jour férié aux Philippines. Environ 15 à 18 millions seront retrouvés.

Le gouverneur de la banque centrale démissionne le 15 mars 2016. RCBC est condamnée à une amende d’un milliard de pesos et une directrice d’agence à de la prison. SWIFT lance en mai 2016 son programme de sécurité obligatoire pour ses membres. En septembre 2018, la justice américaine inculpe un programmeur nord-coréen, Park Jin Hyok, pour cette attaque, celle de Sony en 2014 et WannaCry en 2017 ; en février 2021, elle ajoute deux de ses collègues et chiffre leurs tentatives à plus de 1,3 milliard de dollars.

**Faille exploitée :** un réseau interne atteint par hameçonnage, un terminal SWIFT dont un logiciel malveillant pouvait modifier les enregistrements, et aucune alerte indépendante de l’imprimante. **Auteur présumé :** le groupe Lazarus, rattaché au renseignement militaire nord-coréen, selon l’inculpation américaine de Park Jin Hyok (2018).

> **Nestor Ancien hacker, passé en défense:** Neuf cent cinquante et un millions bien préparés, et c’est une faute de frappe qui en sauve vingt. Les attaquants aussi font des erreurs, et ce sont vos contrôles les plus bêtes, un rapprochement, une question posée au téléphone, qui les attrapent.

### Écrans de fumée : Taïwan et Chili

En octobre 2017, la Far Eastern International Bank de Taïwan voit partir environ 60 millions de dollars vers le Sri Lanka, le Cambodge et les États-Unis pendant qu’un [rançongiciel](https://krakenshield.eu/fr/knowledge/glossary/ransomware/), Hermes, chiffre ses postes. Les chercheurs de BAE Systems y voient une diversion ; la quasi-totalité est récupérée. En mai 2018, la Banco de Chile subit la même mise en scène, en plus brutal : un logiciel destructeur efface le démarrage d’environ 9 000 postes et 500 serveurs, et pendant que les équipes éteignent l’incendie, quatre ordres SWIFT emportent près de 10 millions de dollars vers Hong Kong. La banque a parlé d’attaquants d’Europe de l’Est ou d’Asie, plusieurs sociétés de sécurité ont pointé la Corée du Nord.

**Faille exploitée :** des terminaux SWIFT accessibles depuis un réseau bureautique compromis, et des équipes absorbées par la diversion. **Auteur présumé :** Lazarus selon BAE Systems pour Taïwan ; pour le Chili, attribution discutée entre groupes d’Europe de l’Est et Corée du Nord.

### Cosmos Bank, 2018 : la méthode FASTCash

Le 11 août 2018, à Pune, la Cosmos Bank ne voit rien d’anormal : les demandes de retrait de ses clients à l’étranger reçoivent une réponse positive. Sauf que ces réponses ne viennent pas d’elle. Les attaquants ont compromis le système interne qui autorise les transactions par carte et répondent « oui » à la place de la banque, pendant qu’environ 12 000 retraits sont effectués dans 28 pays avec des cartes clonées. Deux jours plus tard, 2 millions de dollars partent par SWIFT vers Hong Kong. Perte totale : près de 13,5 millions de dollars. Les autorités américaines ont décrit cette technique sous le nom FASTCash et l’attribuent à la Corée du Nord, tout comme un panel d’experts de l’ONU pour le cas Cosmos.

**Faille exploitée :** le serveur interne qui autorise les paiements par carte, compromis pour répondre « oui » à la place de la banque. **Auteur présumé :** la Corée du Nord selon un panel d’experts de l’ONU (2019) ; la police indienne n’avait pas confirmé.

### Bank of Valletta, 2019 : tout couper en trente minutes

Le 13 février 2019, lors du rapprochement du matin, la Bank of Valletta, à Malte, découvre 13 millions d’euros de faux paiements vers le Royaume-Uni, les États-Unis, la République tchèque et Hong Kong. Dans la demi-heure, la banque coupe tout : agences, distributeurs, site, application. Le pays entier se retrouve sans sa première banque pendant une journée, mais la majeure partie des fonds est récupérée. La justice américaine a rattaché ce casse à la Corée du Nord ; des analystes avaient pointé un autre groupe, EmpireMonkey.

**Faille exploitée :** non détaillée par la banque ; les attaquants ont pu émettre des paiements internationaux depuis ses systèmes. **Auteur présumé :** la Corée du Nord selon la justice américaine (2021) ; EmpireMonkey, lié au groupe Cobalt, selon des analystes.

## Les casses de données : quand le butin n’est pas de l’argent

Toutes les intrusions ne visent pas un virement. Quatre affaires montrent ce qu’on peut faire d’une base de clients, et ce que les régulateurs en pensent.

**JPMorgan Chase, 2014.** Entre juin et août, des pirates parcourent plus de 90 serveurs de la première banque américaine et copient les coordonnées de 76 millions de foyers et 7 millions de petites entreprises. Point d’entrée rapporté par la presse : un identifiant d’employé volé, utilisé sur un serveur oublié où la [double authentification](https://krakenshield.eu/fr/knowledge/glossary/mfa/) n’avait pas été déployée. Les données ne servent pas à vider des comptes mais à alimenter une machine à spam boursier : l’Israélien Gery Shalon et ses associés poussaient des actions sans valeur auprès de millions de clients. Le pirate russe qu’ils employaient, Andrei Tyurin, est condamné à douze ans de prison en 2021.

**Faille :** un serveur sans double authentification. **Auteurs présumés :** Gery Shalon, Joshua Aaron, Ziv Orenstein et Andrei Tyurin, inculpés à New York.

**Tesco Bank, 2016.** Du samedi 5 au lundi 7 novembre, 2,26 millions de livres sont prélevés sur 8 261 comptes de la banque du distributeur britannique. Pas d’intrusion : les attaquants ont deviné des numéros de carte valides, parce que la banque les émettait par séries presque consécutives, et ont fait passer des transactions sans contact à piste magnétique depuis le Brésil, un type d’opération que Tesco n’avait jamais voulu autoriser. Le régulateur britannique relèvera que l’équipe d’astreinte a été prévenue par e-mail au lieu d’un appel (21 heures perdues) et que la règle de blocage a été codée avec le code de l’euro au lieu de celui du Brésil. Amende : 16,4 millions de livres, la première infligée par la FCA pour une cyberattaque.

**Faille :** des numéros de carte émis en séquence et un type de transaction non prévu accepté. **Auteur présumé :** jamais identifié ; les opérations venaient du Brésil.

**Capital One, 2019.** Une ancienne ingénieure d’Amazon Web Services exploite un pare-feu applicatif mal configuré pour obtenir un rôle qui lui ouvre plus de 700 espaces de stockage de la banque dans le cloud : 100 millions de personnes aux États-Unis, 6 millions au Canada, dont 140 000 numéros de sécurité sociale. Le régulateur bancaire américain inflige 80 millions de dollars d’amende pour une migration vers le cloud menée sans évaluation des risques ; la banque règle 190 millions à ses clients. L’auteure, reconnue coupable en 2022, est condamnée à de la probation.

**Faille :** un pare-feu applicatif mal configuré dans le cloud, donnant un rôle trop privilégié. **Auteure présumée :** Paige Thompson, condamnée en 2022.

**Desjardins, 2019.** Au Québec, pas de pirate : un salarié du service marketing copie pendant 26 mois les données de millions de membres vers des dossiers partagés non protégés, puis sur des clés USB que rien n’empêchait de brancher. C’est la police qui prévient la coopérative. Bilan final du Commissariat à la protection de la vie privée du Canada : 9,7 millions de personnes, et un constat sans appel sur la segmentation, la surveillance et la culture de confiance sans vérification. Coût pour Desjardins : 108 millions de dollars canadiens, hors action collective.

**Faille :** des données accessibles à un salarié qui n’en avait pas besoin, dossiers partagés et clés USB non bloqués. **Auteur présumé :** un salarié du marketing, licencié et arrêté.

> **Ce que ces affaires ont changé pour les banques européennes**
> Ce que ces affaires ont changé pour les banques européennes
> 
> Le règlement européen DORA, applicable depuis le 17 janvier 2025, impose aux banques et à leurs prestataires critiques une gestion documentée du risque informatique, des tests de résilience et la notification rapide des incidents majeurs. Le point commun de Capital One, Desjardins et Tesco Bank, des défaillances de gouvernance plus que des exploits techniques, est exactement ce que les superviseurs regardent désormais. Notre chapitre [Droit de la cybersécurité en France et en Europe](https://krakenshield.eu/fr/knowledge/a-to-z/16-cyber-law-france-europe/) détaille le cadre.

## 2020-2026 : rançongiciels, prestataires et cryptomonnaies

### ICBC Financial Services, 2023 : une banque réglée par clé USB

Le 8 novembre 2023, la filiale américaine de la plus grande banque du monde, ICBC, est paralysée par le rançongiciel LockBit. Le Trésor américain estimera que les attaquants sont entrés par une faille connue d’un équipement Citrix non corrigé. Pendant deux jours, ICBC ne peut plus régler ses opérations sur les bons du Trésor américain : selon le Financial Times, la banque transmet ses données de transactions à BNY Mellon sur une clé USB, et sa maison mère doit injecter des capitaux pour couvrir environ 9 milliards de dollars d’opérations non dénouées. Aucun argent volé, mais une démonstration : un rançongiciel chez un seul acteur peut perturber le marché le plus liquide du monde.

**Faille exploitée :** CVE-2023-4966, dite « Citrix Bleed », sur un équipement d’accès distant non corrigé, selon le Trésor américain. **Auteur présumé :** un affilié du rançongiciel LockBit, qui a revendiqué l’attaque.

### Brésil, 2025 : l’identifiant vendu 15 000 réaux

Dans la nuit du 30 juin au 1er juillet 2025, des attaquants se connectent à C&M Software, un prestataire qui relie des établissements financiers brésiliens au système de paiement instantané Pix et à leurs comptes de réserve à la banque centrale. Ils en vident plusieurs : plus de 813 millions de réaux, environ 140 millions de dollars, selon le bilan de la police fédérale, en plus de 400 virements Pix convertis en cryptomonnaies. La porte d’entrée a un nom : un opérateur informatique du prestataire, qui a vendu ses identifiants pour environ 15 000 réaux, moins de 2 500 euros. Vingt et une personnes sont arrêtées en octobre 2025 au Brésil, en Espagne et en Argentine ; seuls 32 millions de réaux ont été bloqués. Deux mois plus tard, un autre prestataire brésilien, Sinqia, subit une attaque comparable, pour environ 710 millions de réaux.

**Faille exploitée :** les identifiants d’un opérateur du prestataire, vendus puis utilisés pour émettre des ordres depuis les comptes de réserve, sans contrôle supplémentaire. **Auteur présumé :** un réseau criminel brésilien, 21 arrestations en octobre 2025 ; l’employé João Nazareno Roque a été arrêté en juillet 2025.

> **Belinda Docteure en cryptographie:** Ni C&M, ni Safe Wallet, ni le prestataire d’Arkéa n’étaient la cible finale : ils étaient le chemin. Votre sécurité s’arrête là où commence celle de vos fournisseurs, et vous ne la connaissez que si vous la demandez.

### Ronin et Bybit : la Corée du Nord change de cible

Après Bangladesh Bank, les banques durcissent l’accès à SWIFT et les gros virements frauduleux se raréfient. Les attaquants nord-coréens se tournent vers les cryptomonnaies, où une transaction est définitive en quelques minutes. En mars 2022, un ingénieur du jeu Axie Infinity ouvre un faux dossier de recrutement reçu sur LinkedIn ; les attaquants prennent le contrôle de cinq des neuf validateurs du réseau Ronin et emportent près de 620 millions de dollars. Le 21 février 2025, Bybit perd environ 1,5 milliard de dollars d’ether : les pirates avaient compromis le poste d’un développeur de Safe Wallet, l’outil de signature que la plateforme utilisait, et modifié l’interface pour que les responsables de Bybit approuvent, en croyant signer un virement ordinaire, le transfert du contrôle de leur portefeuille. Le FBI attribue l’attaque à la Corée du Nord cinq jours plus tard, sous le nom TraderTraitor. L’argent est blanchi en une dizaine de jours.

**Faille exploitée :** un ingénieur piégé par une fausse offre d’emploi et trop peu de validateurs indépendants (Ronin) ; le poste d’un développeur de l’outil de signature, modifié pour tromper les signataires (Bybit). **Auteur présumé :** la Corée du Nord, groupe TraderTraitor, selon le Trésor américain (2022) et le FBI (2025).

### Binance, 29 octobre 2026 : le record

Le 29 octobre 2026, vers 20 heures UTC, un portefeuille chaud de Binance se vide sur dix chaînes différentes, l’essentiel en une vingtaine de minutes : environ 6,3 milliards de dollars selon la plateforme, 6,43 selon Elliptic. C’est le plus gros vol de l’histoire, tous moyens confondus. Binance évoque d’abord l’ordinateur compromis d’un ingénieur, puis un plan de plusieurs mois reposant sur de faux entretiens d’embauche. Le 31 octobre, le FBI attribue l’attaque à la Corée du Nord et demande aux plateformes de bloquer les adresses de blanchiment ; environ 2,7 à 3 milliards sont gelés. Binance annonce couvrir la perte sur ses fonds propres et rouvrir les retraits par étapes. Le 3 novembre, Pyongyang dément.

**Faille exploitée :** selon Binance, un salarié approché par de faux recruteurs, puis un portefeuille chaud dont les règles de délégation ont été détournées ; la cause précise n’a pas été publiée. **Auteur présumé :** la Corée du Nord, groupe TraderTraitor, selon le FBI (31 octobre 2026).

### Crédit Mutuel Arkéa, novembre 2026 : la France entre dans la liste

Le 2 novembre 2026, un enquêteur indépendant repère sur les chaînes de blocs des flux suspects de plus de 100 millions de dollars. Le 4, le Crédit Mutuel Arkéa confirme : une attaque, passée par la plateforme d’un prestataire, a utilisé un compte propre de la banque pour virer des fonds vers d’autres établissements, d’où ils ont été convertis en cryptomonnaies. Ordre de grandeur reconnu par la banque, « de l’ordre de 100 millions d’euros » ; aucun compte de client touché, selon elle, et une partie des fonds déjà récupérée au 6 novembre. Le parquet de Paris a confié l’enquête à l’Office anticybercriminalité. L’affaire est en cours, et ces éléments sont ceux connus à la date de publication.

**Faille exploitée :** la plateforme d’un prestataire, non nommé, par laquelle des ordres ont été passés depuis un compte propre de la banque ; le détail n’est pas public. **Auteur présumé :** inconnu ; la banque dit ne pas savoir si l’attaque est française ou étrangère, et aucun groupe n’a été désigné.

2,02 Md$

*volés en cryptomonnaies par la Corée du Nord en 2025, un record, soit 59 % de tout ce qui a été dérobé dans le monde cette année-là*

Source : Chainalysis, décembre 2025

## Ce que trente ans de casses nous apprennent

En relisant ces dix-huit affaires, sept constantes se dégagent.

1. **Le premier pas est presque toujours humain.** E-mails piégés chez Carbanak, Bangladesh Bank et Zeus ; faux recruteurs chez Ronin et Binance ; agent de sécurité corrompu à Londres ; identifiants vendus au Brésil ; salarié indélicat à Desjardins. L’[ingénierie sociale](https://krakenshield.eu/fr/knowledge/glossary/social-engineering/) précède la technique.
2. **On n’attaque plus le système, on en obtient les clés.** Levin avait des mots de passe de clients ; les pirates de Dacca, un terminal SWIFT ; ceux de Bybit, l’interface de signature. Les messages envoyés étaient authentiques.
3. **Le prestataire est la porte de service.** RBS WorldPay, les processeurs de cartes d’Oman et des Émirats, C&M, Sinqia, Safe Wallet, le fournisseur d’Arkéa : la cible finale n’était pas celle qui a été compromise. C’est le principe de l’[attaque par la chaîne d’approvisionnement](https://krakenshield.eu/fr/knowledge/glossary/supply-chain-attack/) .
4. **L’argent part vite, l’alerte arrive tard.** Douze heures chez RBS WorldPay, dix heures à Oman, vingt minutes chez Binance ; en face, 21 heures pour joindre l’astreinte de Tesco et un week-end entier à Dacca. Les attaquants choisissent les nuits, les week-ends et les jours fériés.
5. **La diversion fait partie du plan.** Un rançongiciel à Taïwan, un effaceur au Chili : le bruit occupe les défenseurs pendant que les virements passent.
6. **Les attaquants font aussi des erreurs.** « Fandation », les formulaires SWIFT de Londres, le rapprochement du matin à Malte : les contrôles simples et systématiques ont sauvé des centaines de millions.
7. **Le régulateur punit la gouvernance, pas la malchance.** Les amendes de Tesco Bank et Capital One, les conclusions sur Desjardins visent des décisions non prises, des alertes ignorées, des migrations sans analyse de risque.

## Et pour une PME ?

Vous n’êtes pas une banque, mais vos attaquants utilisent les mêmes portes. En France, la fraude aux moyens de paiement est restée juste sous 1,2 milliard d’euros en 2024, et 32 % de ce montant a été obtenu en manipulant directement la victime, faux conseiller bancaire ou faux fournisseur en tête, selon la Banque de France : la version PME de Carbanak, c’est la [fraude au faux RIB et la fraude au président](https://krakenshield.eu/fr/knowledge/blog/fraude-faux-rib-president/). Le Zeus de 2010 visait déjà des comptables de petites entreprises, pas des traders.

Trois réflexes découlent directement de ces histoires. La double authentification sur chaque accès distant et chaque compte d’administrateur, parce que JPMorgan est tombé sur un seul serveur qui ne l’avait pas. Un contre-appel systématique avant tout virement inhabituel, parce qu’une question posée par la Deutsche Bank a sauvé 20 millions de dollars. Et un regard régulier sur ce qu’un attaquant voit de vous depuis l’extérieur, parce que la faille Citrix d’ICBC était connue et publiée avant d’être exploitée : c’est l’objet du [test d’intrusion non destructif](https://krakenshield.eu/fr/penetration-test/) de KrakenShield, lancé sur vos propres domaines et sous votre autorisation.

Si malgré tout l’argent est parti ou les postes sont chiffrés, les premières heures comptent : notre article [Attaque par rançongiciel : que faire](https://krakenshield.eu/fr/knowledge/blog/attaque-rancongiciel-que-faire/) les détaille, et le chapitre [Anatomie d’une attaque](https://krakenshield.eu/fr/knowledge/a-to-z/03-anatomy-of-an-attack/) explique comment, de l’e-mail initial au virement final, se construit un casse comme ceux de cet article.

## À retenir

1. Le plus gros vol de l’histoire est tout récent : environ 6,3 milliards de dollars pris à Binance le 29 octobre 2026, attribués à la Corée du Nord par le FBI. Le record précédent, Bybit, datait de février 2025.
2. Aucun de ces casses n’a commencé par un exploit de génie : un e-mail piégé, un identifiant acheté à un employé, un serveur oublié sans double authentification, un prestataire compromis.
3. Les attaquants n’ont presque jamais cassé le système de paiement lui-même : ils ont utilisé les accès légitimes de la banque, de ses clients ou de ses prestataires, avec les bons mots de passe.
4. Les plus grosses sommes ont été sauvées par des détails : une faute de frappe dans « foundation », un formulaire SWIFT mal rempli, un rapprochement comptable un matin de février.
5. La Corée du Nord a transformé le casse de banque en politique d’État : plus de 2 milliards de dollars volés en 2025 selon Chainalysis, surtout sur les plateformes de cryptomonnaies.
6. En France, la fraude ne vise plus la banque mais ses clients : juste sous 1,2 milliard d’euros en 2024, dont 32 % obtenus en manipulant la victime, selon la Banque de France.

## Questions fréquentes

**Quel est le plus gros hacking de banque de l’histoire ?**

Si l’on inclut les plateformes de cryptomonnaies, c’est Binance : environ 6,3 milliards de dollars dérobés le 29 octobre 2026, attribués à la Corée du Nord par le FBI le 31 octobre. Pour une banque au sens classique, le plus gros casse réussi reste Bangladesh Bank en 2016 : 81 millions de dollars effectivement perdus, sur 951 millions de virements tentés. Carbanak, entre 2013 et 2015, aurait coûté jusqu’à un milliard de dollars à une centaine d’établissements, mais ce chiffre est une estimation.

**Qui est le groupe Lazarus ?**

C’est le nom donné par les chercheurs à des pirates travaillant pour le renseignement militaire nord-coréen. La justice américaine a inculpé trois de ses membres en février 2021 pour avoir tenté de voler plus de 1,3 milliard de dollars à des banques et à des plateformes de cryptomonnaies. Le FBI lui attribue les vols de Bybit en 2025 et de Binance en 2026 sous le nom TraderTraitor. La Corée du Nord dément.

**Comment des pirates ont-ils pu voler 81 millions de dollars à la banque centrale du Bangladesh ?**

En utilisant les identifiants SWIFT de la banque elle-même. Entrés dans le réseau plusieurs mois plus tôt, ils ont envoyé 35 ordres de virement depuis le compte de la banque à la Réserve fédérale de New York, un jeudi soir, veille de week-end à Dacca. Un logiciel malveillant masquait les traces et l’imprimante des confirmations est tombée en panne. Cinq ordres sont passés ; une faute de frappe a permis de récupérer le virement vers le Sri Lanka, mais 81 millions ont disparu dans des casinos de Manille.

**Les banques françaises ont-elles déjà été piratées ?**

Oui. Le 4 novembre 2026, le Crédit Mutuel Arkéa a annoncé qu’une attaque passée par la plateforme d’un prestataire avait détourné de l’ordre de 100 millions d’euros depuis son compte propre vers d’autres banques, puis vers des cryptomonnaies. Aucun compte client n’a été touché et une partie des fonds a été récupérée. Le parquet de Paris a ouvert une enquête. Avant cela, la fraude en France visait surtout les clients, par manipulation, plutôt que les systèmes des banques.

**Pourquoi les cryptomonnaies sont-elles devenues la cible préférée des pirates ?**

Parce qu’un virement bancaire se bloque, s’annule et se trace pendant des jours, alors qu’une transaction sur une chaîne de blocs est définitive en quelques minutes. Après Bangladesh Bank, les banques ont durci l’accès à SWIFT et les sommes volées aux banques ont baissé. Les attaquants se sont tournés vers les plateformes d’échange, où une seule clé ou une seule interface de signature compromise donne accès à des milliards.

**Une PME peut-elle tirer des leçons de ces casses ?**

Oui, car les points d’entrée sont les mêmes : un employé hameçonné, un identifiant volé, un prestataire compromis, un accès distant sans double authentification. Les banques ont des équipes de sécurité et perdent quand même ; une PME doit viser les mêmes réflexes à son échelle : double authentification partout, contre-appel avant tout virement inhabituel, vérification de ce qu’un attaquant verrait de l’extérieur.

## Sources

- [FBI, A Byte Out of History : $10 Million Hack (affaire Citibank, 1994)](https://www.fbi.gov/news/stories/a-byte-out-of-history-10-million-hack)
- [US Department of Justice, Eastern District of New York, Eight Members of New York Cell of Cybercrime Organization Indicted in $45 Million Cybercrime Campaign (9 mai 2013)](https://www.justice.gov/usao-edny/pr/eight-members-new-york-cell-cybercrime-organization-indicted-45-million-cybercrime)
- [Kaspersky Securelist, The Great Bank Robbery : the Carbanak APT (16 février 2015)](https://securelist.com/the-great-bank-robbery-the-carbanak-apt/68732/)
- [Financial Conduct Authority, FCA fines Tesco Bank £16.4m for failures in 2016 cyber attack (1er octobre 2018)](https://www.fca.org.uk/news/press-releases/fca-fines-tesco-bank-failures-2016-cyber-attack)
- [Office of the Comptroller of the Currency, OCC Assesses $80 Million Civil Money Penalty Against Capital One (6 août 2020)](https://www.occ.gov/news-issuances/news-releases/2020/nr-occ-2020-101.html)
- [Commissariat à la protection de la vie privée du Canada, enquête PIPEDA-2020-005 sur Desjardins (14 décembre 2020)](https://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2020/pipeda-2020-005/)
- [US Secret Service et Department of Justice, Three North Korean Military Hackers Indicted in Wide-Ranging Scheme (17 février 2021)](https://www.secretservice.gov/newsroom/releases/2021/02/3-north-korean-military-hackers-indicted-wide-ranging-scheme-commit)
- [CISA, FBI, Treasury et US Cyber Command, alerte AA20-239A : FASTCash 2.0, North Korea’s BeagleBoyz Robbing Banks (26 août 2020)](https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-239a)
- [SWIFT, SWIFT launches Customer Security Programme (27 mai 2016)](https://www.swift.com/insights/press-releases/swift-launches-customer-security-programme-to-reinforce-the-security-of-the-global-banking-system)
- [FBI, North Korea Responsible for $1.5 Billion Bybit Hack (26 février 2025)](https://www.fbi.gov/investigate/cyber/alerts/2025/north-korea-responsible-for-1-5-billion-bybit-hack)
- [FBI, North Korea Responsible for $6 Billion+ Binance Attack (31 octobre 2026)](https://www.fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack)
- [Chainalysis, Crypto Hacking and Stolen Funds 2026 : North Korea’s record year (décembre 2025)](https://www.chainalysis.com/blog/crypto-hacking-stolen-funds-2026/)
- [CNN Brasil, PF prende 21 pessoas responsáveis por ataque hacker que afetou Pix (31 octobre 2025)](https://www.cnnbrasil.com.br/nacional/brasil/pf-prende-21-pessoas-responsaveis-por-ataque-hacker-que-afetou-pix/)
- [franceinfo, Le Crédit Mutuel Arkéa victime d’un piratage de plus de 100 millions d’euros sans répercussion pour les clients (4 novembre 2026)](https://www.franceinfo.fr/economie/fraude/le-credit-mutuel-arkea-bretagne-victime-d-un-piratage-de-plus-de-100-millions-d-euros-sans-repercussion-pour-les-clients_8267399.html)
- [Banque de France, Rapport annuel de l’Observatoire de la sécurité des moyens de paiement 2024 (9 septembre 2025)](https://www.banque-france.fr/fr/publications-et-statistiques/publications/rapport-de-lobservatoire-de-la-securite-des-moyens-de-paiement-2024)

[Pour aller plus loin**Qui attaque, et pourquoi ?** Cyber de A à Z, chapitre 2](https://krakenshield.eu/fr/knowledge/a-to-z/02-who-attacks-and-why/) [Tous les articles](https://krakenshield.eu/fr/knowledge/blog/)

## Autres articles du blog

[Guide **Qualys SSL Labs ou KrakenShield : obtenir A+ et le garder**](https://krakenshield.eu/fr/knowledge/blog/ssl-labs-ou-krakenshield-test-ssl/) [Guide **Test d’intrusion pour une PME : pentest, prix, cadre légal et choix du prestataire**](https://krakenshield.eu/fr/knowledge/blog/test-intrusion-pentest-pme/) [Guide **Scan post-quantique gratuit : votre site résistera-t-il aux ordinateurs quantiques ?**](https://krakenshield.eu/fr/knowledge/blog/scan-post-quantique-gratuit-site-web/)